医療機器サイバーセキュリティに関連して、クラウドセキュリティアライアンスのヘルス・インフォメーション・マネジメント・ワーキンググループ（HIM-WG）は、2020年3月に「クラウドに接続した医療機器のためのリスク管理」（https://cloudsecurityalliance.org/artifacts/managing-the-risk-for-medical-devices-connected-to-the-cloud/）を公開している。この文書は、患者への近接性（Proximity）に基づいて、クラウドに接続した医療機器のリスク管理という考え方を提示し、医療機器向けのクラウドコンピューティング利用におけるセキュリティ強化のためのプラクティスを紹介することを目的としている。

医療機器と患者の近接性で異なるセキュリティ責任共有モデル

HIM-WGは、機器と患者の近接性を表す隔たりの程度について、機器が患者と相互作用する方法に基づいており、機器が埋め込まれているか、完全に分離しているかによって、以下の0～5の段階を設定している。

・段階0＝機器が患者に埋め込まれている
（機器サポート責任：ベンダーおよび／または医師・医療スタッフ）

・段階1＝機器が患者に接触する
（機器サポート責任：ベンダーまたは臨床工学）

・段階2＝機器は患者に接触しないが、患者の生命兆候または体液、データを測定する
（機器サポート責任：ベンダーまたは臨床工学）

・段階3＝機器は患者に接触しないが、適切な患者診断に重要なことを行う可能性がある
（機器サポート責任：ベンダーまたは臨床工学）

・段階4＝機器は患者から離され、診断／臨床機器よりも運用ツールである
（機器サポート責任：ベンダーまたはIT）

このように、患者との近接性によって、医療機関側の機器サポート責任が異なる点が、医療機器サイバーセキュリティの特徴である。

早期段階からの文書化がセキュリティリスク管理の要

次に、本文書では、医療機器セキュリティライフサイクルの観点から、「調達前」、「調達後／展開前」、「展開／運用管理」、「使用停止／廃棄」の各ステージを挙げている。

このうち「調達前」ステージでは、以下の通り、医療機器サイバーセキュリティに関する文書化について、米国食品医薬品局（FDA）の医療提供組織向け推奨事項を挙げている。

1.機器に関連するサイバーセキュリティリスクについてのハザード分析、低減、設計上の考慮事項

2.考慮されたリスクに対するサイバーセキュリティコントロールに紐付いたトレーサビリティのマトリックス

3.機器ライフサイクルを通して、検証済の更新やパッチを提供するための計画

4.ソフトウェアの完全性を保証するのに適切なセキュリティコントロールの概要

5.サイバーセキュリティコントロールに関する仕様を含む指示

個々の文書は、医療提供組織が機器調達に関するリスクベースの意思決定を行うために必要な情報を提供するが、実際の機器調達に際しては、これらのセキュリティ要求事項を契約書に盛り込む必要がある。

次に、「調達後／展開前」ステージでは、医療提供組織のネットワークやクラウドに接続する前に要求される機器テストの手法として、以下のようなアプローチを推奨している。

1.構成のレビューや、調達前評価の間に収集した構成情報の検証：文書には、すべての相互接続とデータフローダイアグラムに関する一覧表が含まれる。

2.利用するすべての公開ポートおよびプロトコルを特定するための「Nmap」のスキャン：「Nmap」は、オープンソースのネットワーク探索・監査ツールである。

3.「Nessus」や「Qualys」のような製品を利用した脆弱性スキャン：

4.構成スキャン：

5.ペネトレーションテスト：発見した脆弱性を有効活用するために、セキュリティエンジニアは、侵害された機器からのインストール、マルウェア、検索、ダウンロードなどのデータや、機能無効化の試みについて調査すべきである。

アイデンティティ／アクセス管理と信頼性保証は共通の難題

さらに、「展開／運用管理」では、患者との近接性を表す0～5の段階に応じて、様々な医療機器を管理する手法を概説している。

「段階0」の埋め込み医療機器をインターネット／クラウドに接続する場合、埋め込み機器に加えて、インターネット／クラウドに接続するベースステーションおよびそれに接続する中間機器など、複数の機器が使用されるため、個々の機器ごとに、アップグレードやパッチ当てを実行する必要がある。

ただし、医療提供組織が、これらの全テストを完了し、すべての脆弱性を低減したとしても、以下のような課題が残る。

1.個々の機器は、どのようにして、アイデンティティ／アクセス管理を遂行するか？
2.医療提供組織は、どのようにして、発見された追加的な脆弱性が是正されたかを保証するか？

これらアイデンティティ／アクセス管理や信頼性保証は、他の1～5の段階に該当する機器にも共通する課題であるが、解決は容易でない。

最後に、本文書では、以下のような推奨事項を挙げている。

・リスク評価やセキュリティレビューを実施したら、認証に関する機器の機能を強化する
・証明書が機器の真正性を裏付ける場面では、PKI（公開鍵インフラストラクチャ）を利用する
・医療機器における信頼レベルを保証するデジタル証明書と、インフラストラクチャをモニタリングするアプリケーションを組み合わせて、資格のない機器へのアクセスを特定し、防止する
・ユーザーのスマートデバイス経由でインターネット／クラウドに接続する医療機器には、多要素認証（MFA）を導入する
・認証機能のない医療機器の場合、認証ゲートウェイを使用する
・継続的モニタリングにより、医療提供組織およびクラウドプロバイダーの双方が望ましいセキュリティ動態を維持していることを保証する
・医療提供組織は、CASBを活用して、どの機器がクラウドに接続しているか、どのデータがクラウドに送信されているか、データが送信されているのはどのクラウドプロバイダーかを把握する
・医療情報保護など、すべての規制上の要求事項を充足していることを保証する
・クラウドセキュリティアライアンスの「クラウドコンピューティングの重大脅威」を参照する

CSAジャパン関西支部メンバー
健康医療情報管理ユーザーワーキンググループリーダー
笹原英司

今期のCSA関西の活動は、「ヘルスケア」をメインテーマとして活動をしてまいります。

皆さんご存じの通り、ウェルネスへの注目はますます高まり、また、デジタルを活用した「デジタルヘルスケア」も非常に進んできています。これらの状況も含めて、DX推進における、ウェルネス、ヘルスケアは、デジタルによって大きく変わる分野になるでしょう。

ヘルスケアのデジタル活用の課題
デジタルを活用する事により、ヘルスケアの分野が大きく進化する事は期待が持てますが、課題も多くあります。

・クラウド上の膨大なヘルスケアデータの管理
デジタル化に伴い膨大なバイタルデータ含む個人情報を扱う事になります。　それらの膨大なデータはおそらくクラウドを中心に管理される事になります。

・デバイスのインターネット接続によるサイバー攻撃のリスク
また、今まではインターネットに接続されていなかった、各種医療機器や医療情報を取り扱う端末が、インターネット接続される事による、サイバー攻撃のリスクも大きくなります。

・セキュリティ人材
別の側面として、人の課題もあります。従来クラウドセキュリティやサイバーセキュリティを専門としていなかった、医療システム開発エンジニアや医療機器開発エンジニアの方の、これらの分野の知識の向上が急務になります。

・参入ベンダーのヘルスケアガバナンス
加えて、ヘルスケア業界に参入される、システム開発、機器ベンダーの方々が、ヘルスケアにおけるガイドライン、ガバナンスを理解、習得する必要もあります。

CSA関西のヘルスケアにおける活動
上記の課題を、CSA関西の活動を通じて少しでも解決に向けてご支援ができればと考えて今期の活動を計画しています。

CSA関西のヘルスケア今期活動予定
今期の活動予定として、下記の6つのテーマに関する、ブログの発信と勉強会をセットで実施をいたします。また、勉強会については、下記のテーマに加えて毎回、関連の団体、企業、ベンダーの方にもお話いただけるセッションを合わせて実施する予定です。

デジタルヘルスケア全般およびセキュリティ対策にご興味のある方はどなたでも、是非今後の活動にご注目いただき、ブログをご覧いただき、勉強会にもご参加ください。
また、ご参加に限らず、是非ご一緒に情報の発信や上記課題解決に向けた活動を実施していきましょう。

お問い合わせ：
クラウドセキュリティアライアンス関西支部
運営チームリーダー
夏目道生

CSAジャパン関西支部、ついにキックオフ！（前編）
～キックオフセミナー概要と基調講演（データ政策とクラウド安全性評価）

CSAジャパン運営委員　有田　仁
2019年8月21日

• はじめに

法人化から5年が経過、CSAジャパンは2019年（令和元年）度の取り組み目標の一つにWG活動等の「多拠点化へのチャレンジ」を掲げ、その第一弾として「関西支部」活動が新年度（本年6月）より本格スタートした。関西支部は、CSAジャパンの事業内容やワーキンググループ（WG）活動等に関して、関西地域における紹介や認知度向上をその活動目的とする。また関西地域のクラウドユーザーが有する潜在的交流ニーズの受け皿として、国内「面展開」の試金石となる。

図1：大阪城公園（天守閣）を一望　　図2：キックオフセミナー会場

上記を受け、7月11日（木）午後より、広大な大阪城公園と壮大な天守閣を窓から眼下に一望できる（図1）、大阪ビジネスパークのクリスタルタワー20階E会議室を会場（図2）として、関西支部キックオフセミナーが開催された。当日プログラムは以下3名の講師による講演で構成された。

1. 【基調講演】「今後のデータ政策の展開とクラウドサービスの安全性評価について」
   経済産業省 商務情報政策局 情報経済課 課長補佐　関根 悠介氏
2. 「CSAジャパン関西支部の立ち上げにあたり」
   一般社団法人日本クラウドセキュリティアライアンス 業務執行理事　諸角 昌宏
3. 「CSA Japan Summit 2019: Recap」
   一般社団法人日本クラウドセキュリティアライアンス 運営委員　有田 仁（※本レポート筆者）

本年は観測史上最も遅い梅雨入りとなり、あいにく当日午後の天候は小雨模様となった。それにもかかわらず、関西を地盤とするICT・電機・医療分野等の企業、監査ファーム、大学・研究機関、また官公庁関連団体などから幅広く、クラウドサービス導入やセキュリティ対策に関心をお持ちの参加者46名のご来場を得た。本稿前編では、上記講演プログラム1（基調講演：今後のデータ政策の展開とクラウドサービスの安全性評価について）に関する所感報告について以下に述べる。

• 講演プログラム報告

1. 【基調講演】「今後のデータ政策の展開とクラウドサービスの安全性評価について」（経済産業省 商務情報政策局 情報経済課 課長補佐　関根 悠介氏）
   本セミナーの基調講演として、経済産業省 商務情報政策局の関根氏より、データ政策とクラウドサービスの安全性評価制度の検討状況に関してご講演いただいた。これは本稿後編で述べるCSA Japan Summit 2019（本年5月15日開催／会場：東京大学伊藤謝恩ホール）の招待講演プログラムで、同省の松田洋平氏から事前に講演いただいた内容に通じ、これに近時のパブリックコメントの集約状況等をアップデートの上、関西地域のユーザーへも是非とも聴講機会を頂戴したいとの当会依頼に対し、ご快諾いただいたものである。本講演内容は2つの柱、すなわち①データ流通政策（DFFT：Data Free Flow with Trust）の展開②クラウド・バイ・デフォルト原則とクラウドサービス安全性評価制度の検討状況、からなる。
   DFFT（Data Free Flow with Trust）は、本年1月23日開催の世界経済フォーラム年次総会（ダボス会議）で日本の安倍総理により提唱された「信頼性のある自由なデータ流通」を促進するコンセプトである。すなわち国際的なデータ流通網を構築し、データの囲い込みを防止してその活用最大化を目指すものである。これは本セミナーの直前（本年6月28日・29日）に、インテックス大阪を会場に開催されたG20 Osaka Summit 2019で大阪トラック立ち上げ宣言として盛り込まれたこともあり、参加者の関心は高かった様に思われる。

   ここでの主な論点は、DFFTによる国際的なデジタル経済の成長促進とプライバシーやセキュリティの確保とのバランスをいかに図っていくかにある。これへの対策として、個人情報や知的財産等の安全性確保に向けた個人情報保護法の3年毎の見直し、現行ペナルティのあり方、外国事業者に対する法執行の域外適用や越境移転のあり方、また各国の関係法制度との相互運用性の確保等が検討されていることが説明された。

   クラウド・バイ・デフォルト原則は、2018年6月に「政府情報システムにおけるクラウドサービスの利用に係る基本方針」として採用された「クラウドサービスの利用を第一候補として政府情報システムの検討を行う」とするものである。しかしながらその一方で、適切なセキュリティ管理への懸念等から、（とりわけ）政府におけるクラウドサービス導入が円滑に進んでいない現状を鑑み、官民双方においてクラウドサービスの安全性評価の仕組みの必要性が掲げられている。また「サイバーセキュリティ戦略」（2018年7月27日閣議決定）において、政府プライベートクラウドとしての「政府共通プラットフォーム」への移行の推進が掲げられた。これらを受け、経済産業省と総務省で「クラウドサービスの安全性評価に関する検討会・WG」が2018年8月から複数回開催されるとともに、本年3月16日から4月16日にかけて、中間とりまとめ（案）のパブリックコメントが実施されている。なお同検討会WGメンバーには、当会運営委員の小川隆一氏（独立行政法人 情報処理推進機構／IPA）も名を連ねている。本評価制度は、政府調達における利⽤を第⼀に想定しつつ、民間の特に情報セキュリティ対策が重要となることが想定される重要産業分野等においても、検討結果の活用推奨が目されている。

   本講演で説明いただいた、同検討会における最新整備状況の細部について本稿で逐一再掲することは差し控えたいが、30分間用意していた質疑応答の時間帯は大いに活況を呈したことを報告させていただく。今回、中央省庁関係者からダイレクトに関西ユーザーに対して、取り組み最新状況についてお伝えいただく機会を設定できたことは幸いに思う。また、参加者からの活発な質疑に対し逐一懇切丁寧に応答いただき、セミナー後の懇親会（立食式）までお付き合いいただいた関根氏に、この場であらためて深く感謝の意を表したい。余談であるが、本セミナー開催から日を置かずに、某海外大手クラウドサービス事業者が上述の「政府共通プラットフォーム」に採用決定との報道が流れた。これに対し今後の世論において、様々な観点から議論が惹起されるであろうと予測される。
   （本講演資料は非公開）

※講演プログラム2 （CSAジャパン関西支部の立ち上げにあたり）、同3（CSA Japan Summit 2019: Recap）、及び関西支部の今後の展望について、本稿後編に続く。

以上